O Regime Geral de Proteção de Dados (RGPD) é o conjunto de medidas técnicas e organizativas destinadas a garantir a confidencialidade, integridade e disponibilidade de dados pessoais e sensíveis, prevenindo acessos não autorizados, perdas ou divulgação indevida.
De salientar que dados de uma empresa enquanto pessoa coletiva – como moradas de sede, número de registo comercial, faturação, desempenho económico, contratos com clientes, produtos, volumes de vendas – não são considerados dados pessoais e, portanto, não estão abrangidos pelo RGPD.
No caso da segurança o RGPD aplica-se a informações armazenadas, processadas ou transmitidas como é o caso de sistemas de videovigilância, controlo de acessos, registos de alarmes que podem conter dados de clientes ou colaboradores.
Princípios fundamentais da proteção de dados
- Legalidade, lealdade e transparência – os dados só podem ser tratados com base legal e de forma transparente.
- Limitação da finalidade – recolha apenas para fins específicos e legítimos.
- Minimização de dados – apenas os dados necessários devem ser processados.
- Exatidão – dados devem ser corretos e atualizados.
- Limitação da conservação – dados não podem ser armazenados por mais tempo do que o necessário.
- Integridade e confidencialidade – proteção contra acesso, perda ou alteração não autorizada.
- Responsabilização (Accountability) – demonstrar cumprimento das normas e medidas implementadas.
Medidas técnicas essenciais
- Encriptação de dados em repouso e em trânsito (AES, TLS)
- Autenticação forte e gestão de acessos (senhas seguras, MFA)
- Backups regulares e testados
- Segregação e segmentação de redes
- Monitorização e auditoria de sistemas
- Políticas de destruição segura de dados
- Atualização contínua de software e firmware
Tipos de dados sensíveis a proteger
- Dados pessoais identificáveis (PII): nomes, contactos, emails, números de identificação.
- Dados bancários e financeiros
- Imagens e vídeos de CCTV
- Registos de alarmes e acessos
- Dados de saúde ou teleassistência
Boas práticas operacionais
- Limitar acesso apenas a pessoal autorizado
- Auditar periodicamente sistemas e registos
- Criar planos de resposta a incidentes (Data Breach)
- Formação contínua de colaboradores sobre proteção de dados
- Documentar processos de tratamento e registos